🟠 CVE-2026-72534: High Schwachstelle

Zusammenfassung

CVE-2026-72534 beschreibt eine kritische Privilege-Escalation-Anfälligkeit in Authentik Security bis Version 2026.5.6.
Ein Angreifer mit einem source-scoped SCIM-Provisioning-Token kann Superuser-Rechte erlangen, indem er eine SCIM-Gruppe
mit dem Namen einer bestehenden Administrator-Gruppe erstellt. Dies ermöglicht die vollständige Übernahme der Identity Provider (IdP) Infrastruktur
und das Aussperren aller Administratoren.

Betroffene Systeme

Produkt: Authentik Security authentik
Betroffene Versionen: Bis einschließlich 2026.5.6
Angriffsvektor: Netzwerk (Network)
Authentifizierung erforderlich: Ja (SCIM-Provisioning-Token)

Technische Details

Die Anfälligkeit liegt in der SCIM-Gruppenverarbeitungsfunktion. Diese validiert nicht ausreichend,
ob ein Provisioning-Token berechtigt ist, existierende Gruppen zu modifizieren. Der Angriffsmechanismus funktioniert wie folgt:

• Angreifer nutzt einen source-scoped SCIM-Token mit eingeschränkten Berechtigungen
• Erstellt eine SCIM-Gruppe mit identischem Namen einer existierenden Admin-Gruppe
• System adoptiert die bestehende Gruppe, ohne Scope-Validierung durchzuführen
• Gruppenmitgliedschaft wird ohne Berechtigungsprüfung ersetzt
• Angreifer wird der neuen Admin-Gruppe hinzugefügt und erhält Superuser-Zugriff
• Existierende Administratoren werden aus der Gruppe entfernt und können sich nicht mehr anmelden

Empfohlene Massnahmen

• Sofortig: SCIM-Provisioning mit source-scoped Tokens deaktivieren, bis ein Patch verfügbar ist
• Authentik-Instanzen auf unnormale Admin-Gruppenmitgliedschaften überwachen
• Regelmäßige Audits der Gruppenverwaltung durchführen
• Starke MFA für alle Administrator-Accounts erzwingen
• Auf verfügbare Sicherheitsupdates warten und zeitnah einspielen

Bewertung

CVSS-Score: 8.8 (High)
Kritikalität: Kritisch für Authentik-Deployments mit aktiviertem SCIM-Provisioning
Patch-Status: Nicht verfügbar (Stand der Meldung)

Diese Schwachstelle hat massive Auswirkungen auf die IdP-Sicherheit und ermöglicht eine vollständige
Systemübernahme. Sofortige Gegenmassnahmen sind erforderlich.